SalesForce 使用 openAM 发起 SSO答案

【问题标题】：SalesForce initiated SSO using openAMSalesForce 使用 openAM 发起 SSO
【发布时间】：2012-02-04 03:26:35
【问题描述】：

我们正在使用 OpenAM 为 SalesForce 实施 SSO。我们按照步骤@http://blogs.oracle.com/rangal/entry/saml2_salesforce_com

有两种情况 1. Idp (OpenAM) 发起 SSO。 2. 服务提供商 (salesForce) 发起 SSO。

场景 1 运行良好。场景 2 没有。

我在 SalesForce 的 SSO 最佳实践中读到，无法为 SalesForce SSO 实施方案 2。它是否正确？问候萨米尔

【问题讨论】：

【解决方案1】：

Salesforce 中由 SP 发起的 SAML SSO 现在使用“My Domain”功能来消除对持久 cookie 的需求。设置“我的域”，然后，当用户转到 http://your_cust_name.my.salesforce.com 时，Salesforce 将使用主机名来确定将用户重定向到的正确身份提供商 (IdP)。

This article gives a good overview of the concept 和 this one explains it specifically in the context of SSO from Microsoft Active Directory Federation Services。即使您在 IdP 使用不同的软件，那里也有很多有用的信息！

【讨论】：

【解决方案2】：

SP 发起的 SSO 可以通过 SFDC 实现，并且依赖于预先存在于浏览器中的 cookie (ssostartpage)。这意味着用户应该在第一次设置 cookie 时执行 IdP init SSO，然后从那时起就可以使用 SP init SSO。

更多详情请见this post at SFDC security forum。

【讨论】：

谢谢。这有帮助！问候萨米尔
那个帖子现在已经过时了。您可以使用“我的域”功能执行 SP 发起的 SSO，而无需使用笨重的 cookie。我将发布另一个答案，其中包含指向更多信息的链接。